移動互聯網的智能終端防護技術探析

胡紅宇

近十年來，移動互聯網以不可阻擋的趨勢迅速占領市場，尤其是4G網絡普及，甚至即將進入5G時代，移動網絡帶寬增加，網速大幅提升，為移動互聯網的發展提供了良好條件。移動互聯網以其實時性、可移動性、靈活性等優點吸引著軍用、商用、民用各方目光。軍方利用移動互聯網的實時性、可移動性等特點進行機密信息傳遞，以達到先發制人的效果；企業利用移動互聯網隨時隨地進行商務會談，及時抓住商機；而普通百姓則用移動互聯網進行即時通信、娛樂以及位置請求服務等。移動互聯網已滲透到軍事科研，人民生活的各個方面。

然而在移動互聯網提供方便快捷服務的同時，帶來的安全問題更是不容忽視。在2013年9月的中國移動互聯網大會上，鄔賀銓院士指出移動互聯網的安全問題比桌面互聯網更嚴重，移動互聯網已成網絡安全的重災區。下面是360公司對2017年第一季度手機終端安全的分析數據：

2017年第一季度，360互聯網安全中心共截獲安卓平臺新增惡意程序樣本222.8萬個，平均每天截獲新增惡意程序2.5萬個。累計監測到移動端用戶感染惡意程序5812.7萬人次，平均每天惡意程序感染量達到64.6萬人次。

安卓平臺新增惡意程序主要是資費消耗，占比高達71.7%；其次是流氓行為（16.5%）、隱私竊取（7.9%）、惡意扣費（3.2%）和遠程控制（0.4%）

因此，對移動互聯網安全關鍵技術的研究成為當下不可逃避的問題。移動互聯網作為移動通信與互聯網融合的產物，致使其在面臨來自傳統網絡安全威脅的同時，又被移動通信帶來的安全問題所困擾。

因此，本文主要就移動終端面臨的威脅現狀來進行分析，給出相應的安全策略和建議，以提高智能終端的防護能力。

一、智能手機的威脅分析

智能終端在收到惡意程序攻擊后，通常為出現三種情況：數據被獲取：惡意程序在手機上運行后，可通過提權漏洞獲取手機上保存的各種用戶隱私數據；終端被控制：攻擊者可通過手機木馬對手機上的各種硬件進行控制，甚至可以控制基帶設備靜默發送短信和撥打電話。手機被監控：通過控制手機上的硬件，攻擊者可實現對手機和用戶的實時監控，通過GPS實時定位手機地理位置，通過聽筒和話筒監聽用戶通話等。我們以2015年，典型的手機木馬“百腦蟲”為例，其工作流程如圖1所示：

打開百腦蟲的應用啟動后，會提權釋放一個無圖標的APK到系統應用路徑里，此APK在后臺默默運行，用戶難以發覺。此APK就是百腦蟲病毒的核心模塊，它主要功能有檢查安全軟件、劫取用戶隱私、靜默推廣安裝其他應用及病毒文件等。

因此，可以看到，木馬對手機的危害非常大的。我們不僅需要考慮如何查殺惡意程序，更重要的是，需要防止被植入木馬。這就需要構建基于終端的可信體系來完成。

二、如何構建可信移動終端

（一）可信終端的結構框架

根據移動終端的平臺特點和平臺的安全需求，以及目前移動終端分離式的雙處理器架構，參照MTM規范，本文設計了基于MTM的可信移動終端硬件結構。具體的做法是在傳統的移動終端中增加了MTM模塊作為平臺的可信根，此外還增加了備份存儲器來存儲平臺中核心組件，可信移動終端的結構框架如圖2所示。在整個結構框架中中，MTM是終端平臺的可信根，也是平臺啟動后最先運行的組件，在平臺加電后，MTM對終端加電啟動時要加載的組件依次進行完整度量和完整性驗證，最終保證平臺的可信啟動。

此外，MTM還可以通過通用I/O接口（General Purpose I/O，GPIO）來驗證用戶口令，并通過局部I/O總線與生物特征讀取設備（Biometric Reader，BR）相互通信來驗證用戶身份。除了在移動終端添加MTM模塊外，還在移動終端上增加了備份存儲器組件，用來備份終端可信啟動時所必需的組件數據，保證終端能夠正常啟動。

（二） 可信鏈接

在移動終端添加自定義的鉤子函數并設定相關的安全策略，當程序想要進行某一步操作時，平臺首先判斷該操作是否與既定的安全策略相匹配，若與安全策略相匹配，則允許該操作執行，否則拒絕。因此可以將這些安全策略，定義為一個行為準則庫（Behavior Standard Library，BSL），準則庫中包含了允許各類應用運行的行為列表（Behavior List，BL）。系統在執行每一步操作之前，首先調用BL，根據BL來判斷該行為是否在其允許的范圍之內，只有在BL允許的情形下操作才被允許執行，其它都被定義為可疑或惡意行為，具體的可信應用模型如圖3所示。

在平臺可信啟動后，檢測平臺上已安裝的應用程序，分析每個應用實現其相應功能所必需的行為，將該應用的所有行為集合定義為應用行為列表。這樣平臺中的每一個應用程序都對應一個行為列表，根據這些行為列表，生成平臺的行為準則庫。

這樣，通過構建可信的結構框架和應用模型，可以用來有效防止行為準則庫被惡意篡改。當然，在可信的終端框架基礎上，通過安全的使用習慣來構建安全的防護措施也是很重要的。

三、智能終端的安全防護措施

安全的防護措施保障終端安全的重要手段，具體如下：

（一）不安裝未知來源的應用程序

應用程序一定要通過正規的官方互聯網網站或手機的應用市場來下載軟件，包括辦公軟件、聊天軟件、游戲軟件等。

（二）安裝專業的安全防護軟件。

（三）免費的wifi有風險，不要隨便連接

隨著無線網絡的普及，很多地方提供了開放的WIFI網絡，給人們帶來了很大的方便性，不過，你也要注意“世界沒有免費的午餐、有些打著“免費”旗號的的未必是真的是“免費的”，不知不覺中你的個人隱私信息可能會被人盜竊。

（四）二維碼不要隨便掃

隨著二維碼技術現在已經廣范應用，大街上、商場、網上有很多的二維碼，然而，二維碼并不是安全的、進行掃描之前一定要進行安全確認，有些惡意代碼也隱藏其中。

（五）不要隨意Root手機

一般Android系統提供的權限足夠手機實現很多功能了，沒必要為了多點功能而冒著信息被盜的危險 。

（六）不要隨意打開短信、彩信鏈接

很多手機病毒是通過短信（彩信）鏈接來進行傳播的。通過點擊鏈接來誘導用戶點擊、安裝、運行，然后竊取用戶的短信箱、通訊錄信息發送到指定郵箱、并接受遠程控制指令執行相關惡意操作。

（七）及時關閉藍牙、WiFi等功能

（八）盡量不使用公共場合和陌生人提供的充電寶

許多未知來源的充電寶都被植入了惡意程序和惡意病毒，在用戶使用過程中竊取手機的重要信息或向手機植入病毒。

（九）及時更新軟件和應用程序

及時更新軟件和應用程序才能及時修復一些漏洞，才能避免被攻擊者趁虛而入。

（十）不在鏈接公共WIFI時進行支付或登錄操作

在公共場合的連接公共WIFI時，盡量避免一些支付和登錄操作，以免造成登錄密碼、支付密碼被非法竊取，造成不必要的財產損失。

四、結論

移動互聯網的智能終端安全問題，是一個較為復雜的系統工程問題。我們不僅要構建可信、可靠的移動終端，對于相應的使用習慣、安全防護措施，也是非常重要的。本文所給出的思路和想法，只不過在這個復雜的問題上，做了一些思考和總結。面臨著日益變換的互聯網及互聯網+的發展，我們仍然需要不斷的思考和探索，才能有效的保障智能終端的使用安全。